Stručně
- Vývojáři PHP 21. 10. 2026 opravili dvě kritické zranitelnosti s označením php2shell (CVE-2026-109618 a CVE-2026-109619, závažnost 9,2 z 10).
- Opravené verze jsou PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. PHP 8.1 a starší oficiální opravu nedostane.
- NÚKIB doporučuje aktualizovat okamžitě. Evropský CERT-EU radí web do aktualizace odpojit, pokud to jinak nejde.
Co se stalo
Tým PHP 21. října 2026 vydal mimořádné bezpečnostní aktualizace. Opravují dvě chyby v samotném jazyce PHP, které dostaly souhrnný název php2shell. Obě umožňují vzdálené spuštění kódu bez přihlášení: útočníkovi stačí poslat na web upravený požadavek a může převzít server, jeho soubory i databázi.
Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) upozorňuje, že řešením je jen aktualizace, a doporučuje ji udělat okamžitě. Evropský tým CERT-EU uvádí, že na internetu už koluje ukázkový kód pro zneužití a útoky jsou pravděpodobné. Podle BBC kvůli chybám preventivně vypnuly své weby i některé evropské úřady.
Koho se to týká
Každého, kdo má web nebo aplikaci na PHP. Typicky jde o:
- weby na WordPressu, Joomle nebo Drupalu,
- e-shopy, například na Magentu nebo PrestaShopu,
- firemní intranety, rezervační systémy a klientské portály,
- administrace hostingů a další software, který PHP obsahuje, aniž by to bylo na první pohled vidět.
Zranitelné jsou všechny běžné způsoby provozu PHP na serveru. Nejrizikovější je podle týmu PHP Apache s modulem mod_php. Aktualizace WordPressu nebo pluginů tuhle chybu neopraví, protože je o úroveň níž, v PHP na serveru.
Opravené verze
| Větev PHP | Opravená verze | Poznámka |
|---|---|---|
| 8.5 | 8.5.12 | podporovaná |
| 8.4 | 8.4.27 | podporovaná |
| 8.3 | 8.3.36 | podporovaná |
| 8.2 | 8.2.35 | podpora končí 31. 12. 2026 |
| 8.1 a starší | bez oficiální verze | jen záplaty od distribucí a dodavatelů |
Pro PHP 7.4, 8.0 a 8.1 zveřejnil tým PHP jen zdrojové úpravy pro správce, kteří si PHP sestavují sami. Pokud web běží na takto staré verzi, je nejvyšší čas přejít na podporovanou.
Co udělat teď
- Sepište, kde máte PHP. Firemní web, e-shop, intranet, ale i weby, které vám kdysi udělala agentura a o kterých už nikdo neví.
- Web na hostingu: zeptejte se poskytovatele, jestli už PHP aktualizoval, nebo v administraci hostingu přepněte na opravenou verzi.
- Vlastní server: aktualizujte PHP z balíčků distribuce a restartujte všechny procesy PHP. Když to hned nejde, web do aktualizace odpojte od internetu, jak doporučuje CERT-EU.
- Dočasná opatření nestačí. CERT-EU popisuje nastavení, která riziko snižují (například vypnutí session.upload_progress), ale výslovně uvádí, že server nezabezpečí.
- Hledejte stopy útoku. NÚKIB upozorňuje na neobvyklé procesy spouštěné službami PHP. U WordPressu zkontrolujte nové administrátorské účty a neznámé soubory a pluginy. Při podezření postupujte podle článku co dělat při kybernetickém útoku.
Proč se aktualizace nevyplatí odkládat ani jindy, vysvětlujeme v článku aktualizace bez stresu. Pokud máte web na vlastním serveru, pomůže i dobře nastavený firewall a pravidelné zálohy, ze kterých jde web po útoku obnovit.
Časté otázky
Co je php2shell?
Souhrnný název pro dvě kritické zranitelnosti v PHP (CVE-2026-109618 a CVE-2026-109619), opravené 21. 10. 2026. Umožňují spustit kód na serveru bez přihlášení.
Které verze PHP jsou opravené?
PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. PHP 8.1 a starší oficiální opravu od týmu PHP nedostane.
Týká se php2shell webů na WordPressu?
Ano, pokud běží na neopravené verzi PHP. Aktualizace WordPressu ani pluginů chybu neřeší, je potřeba aktualizovat PHP na serveru.
Co když nejde PHP hned aktualizovat?
CERT-EU doporučuje web do aktualizace odpojit od internetu. Dočasná nastavení riziko jen snižují.